Roczny raport SZBI dla zarządu powinien przedstawiać aktualny poziom ryzyka, skuteczność zabezpieczeń, stan realizacji działań oraz decyzje wymagające zatwierdzenia przez kierownictwo. Nie jest technicznym zestawieniem alertów ani listą wykonanych zadań IT, lecz materiałem pozwalającym zarządowi sprawować nadzór, przydzielać zasoby i pozostawić dowód świadomego zarządzania cyberbezpieczeństwem.
Zarząd powinien po lekturze wiedzieć, które ryzyka akceptuje, na co przeznacza budżet, kto odpowiada za działania i które problemy wymagają natychmiastowej eskalacji. Techniczne szczegóły mogą trafić do załączników.
Krytyczna podatność, poważny incydent, nieskuteczny backup, utrata kluczowego dostawcy lub ryzyko niedotrzymania terminu ustawowego powinny trafić do kierownictwa niezwłocznie. Nie czekają na coroczny przegląd.
Czy roczny raport SZBI dla zarządu jest obowiązkowy?
Przepisy nie wprowadzają jednego, powszechnie obowiązującego dokumentu zatytułowanego dokładnie „roczny raport SZBI”. Nie oznacza to jednak, że zarząd może poprzestać na ogólnym zapewnieniu działu IT, że sytuacja jest pod kontrolą. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa przypisuje kierownikowi podmiotu odpowiedzialność za wykonywanie obowiązków, podejmowanie decyzji, wdrażanie środków, sprawowanie nadzoru, zapewnienie zasobów i przydzielenie zadań.
Dyrektywa NIS2 wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie i nadzorowały ich wdrażanie. Aby robić to świadomie, muszą otrzymywać uporządkowane informacje o ryzyku, incydentach, lukach, wynikach audytów i potrzebnych zasobach. Roczny raport SZBI dla zarządu jest praktycznym sposobem połączenia tych informacji z przeglądem zarządzania i udokumentowaniem nadzoru.
W niektórych sektorach wymóg rocznego przeglądu jest sformułowany bardziej bezpośrednio. Dla publicznych podmiotów ważnych załącznik nr 4 do wytycznych przewiduje przegląd SZBI co najmniej raz w roku oraz po istotnych zmianach. Z kolei rozporządzenie wykonawcze Komisji (UE) 2024/2690, odnoszące się do wskazanych dostawców cyfrowych i ICT, wymaga regularnego raportowania zgodności kierownictwu oraz przedstawiania wyników niezależnych przeglądów. Nie jest to uniwersalny obowiązek każdej firmy, ale stanowi przydatny wzorzec dojrzałego nadzoru.
Rok to częstotliwość minimalna dla podsumowania, nie limit kontaktu z zarządem
Przegląd powinien odbywać się także po zmianie kluczowej usługi, architektury, dostawcy, poziomu ryzyka, wymagań prawnych lub po istotnym incydencie. Organizacja o wysokim profilu ryzyka może raportować kierownictwu kwartalnie, a raz w roku przygotowywać pełne podsumowanie.
Kto przygotowuje raport, a kto go zatwierdza?
Właścicielem raportu powinien być podmiot lub funkcja odpowiedzialna za koordynację SZBI: pełnomocnik ds. cyberbezpieczeństwa, pełnomocnik SZBI, CISO albo inna wyznaczona osoba. Nie może ona jednak tworzyć dokumentu w oderwaniu od IT, bezpieczeństwa, ryzyka, compliance, IOD, zakupów, HR i właścicieli procesów. Każda z tych funkcji posiada część danych potrzebnych do oceny systemu.
Zarząd nie powinien jedynie „przyjmować raportu do wiadomości”. Jego rolą jest rozpatrzenie ustaleń, zadanie pytań, podjęcie decyzji, zaakceptowanie ryzyka w granicach kompetencji, zatwierdzenie zasobów i wskazanie właścicieli działań. Przyjęcie raportu nie przenosi odpowiedzialności na autora dokumentu. Kierownictwo nadal odpowiada za nadzór nad systemem.
Właściciel SZBI
Łączy dane, ocenia trendy, przygotowuje rekomendacje i przekłada ustalenia techniczne na język ryzyka biznesowego.
Właściciele obszarów
IT, SOC, ryzyko, HR, zakupy, IOD i właściciele usług potwierdzają wyniki, terminy, dowody oraz przyczyny odchyleń.
Zarząd
Akceptuje kierunek, budżet, ryzyko rezydualne, priorytety i odpowiedzialność za wykonanie działań.
W organizacji korzystającej z zewnętrznej obsługi raport może przygotować pełnomocnik ds. cyberbezpieczeństwa nadzorujący SZBI. Pozwala to połączyć informacje prawne, organizacyjne i techniczne, ale wymaga zapewnienia dostępu do wiarygodnych danych oraz jasnego umocowania. Zewnętrzny ekspert rekomenduje; decyzje biznesowe pozostają po stronie kierownictwa.
Co powinien zawierać roczny raport SZBI dla zarządu?
Raport powinien odpowiadać na trzy pytania: gdzie organizacja znajduje się dziś, co zmieniło się od poprzedniego przeglądu i jakich decyzji wymaga następny okres. Jego struktura powinna być stała, aby zarząd mógł porównywać lata, ale zakres musi uwzględniać profil działalności, usługi kluczowe, sektor, wymagania umowne i przyjętą metodykę ryzyka.
Podsumowanie wykonawcze
Najważniejsze zmiany, ogólny poziom ryzyka, zdarzenia, sukcesy, problemy oraz lista decyzji oczekiwanych od zarządu.
Kontekst i zakres
Usługi, procesy, jednostki, lokalizacje, systemy i zmiany organizacyjne objęte systemem oraz ewentualne wyłączenia.
Realizacja decyzji
Status uchwał, budżetów i działań z poprzedniego przeglądu, opóźnienia, ich przyczyny oraz wpływ na ryzyko.
Ryzyko i plan postępowania
Ryzyka krytyczne i wysokie, trend, właściciele, środki, ryzyko rezydualne oraz pozycje wymagające akceptacji.
Incydenty i podatności
Najważniejsze zdarzenia, przyczyny źródłowe, czas reakcji, zgłoszenia, wnioski oraz stan usuwania podatności.
Ciągłość działania
Testy backupu, BCP i DRP, osiągnięte RTO i RPO, luki, scenariusze awaryjne i zależności od ludzi oraz dostawców.
Dostawcy i łańcuch dostaw
Oceny krytycznych dostawców, klauzule, incydenty, koncentracja usług, plany wyjścia oraz zaległe przeglądy.
Dostęp i personel
Uprawnienia uprzywilejowane, MFA, przeglądy dostępów, szkolenia, testy świadomości i zdarzenia personalne.
Audyty i niezgodności
Wyniki kontroli, audytów i testów, działania korygujące, terminy oraz skuteczność zamkniętych niezgodności.
Zgodność i obowiązki
Zmiany UoKSC, NIS2, wymogów sektorowych i umów, terminy, rejestracje oraz stan dokumentacji SZBI.
Zasoby i budżet
Kompetencje, dostępność zespołu, narzędzia, usługi zewnętrzne, koszty oraz różnica między potrzebami a planem.
Plan doskonalenia
Priorytety, mierzalne rezultaty, właściciele, terminy i zależności na kolejny okres sprawozdawczy.
Każdy obszar powinien kończyć się wnioskiem, a nie tylko opisem. Jeżeli test odtworzenia kopii zapasowej nie osiągnął wymaganego RTO, raport powinien wskazywać przyczynę, znaczenie dla usługi, rekomendowane działanie, koszt, właściciela i termin. Samo zdanie „wykonano test backupu” nie daje zarządowi podstawy do decyzji.
Masz dane, ale nie masz materiału decyzyjnego?
Masz dane z IT i audytów, ale nie tworzą one materiału decyzyjnego dla zarządu? Możemy uporządkować wskaźniki, ryzyka i rekomendacje w roczny raport SZBI wraz z projektami decyzji.
Umów bezpłatną konsultacjęJakie KPI i KRI powinien widzieć zarząd?
KPI pokazują wykonanie i skuteczność procesów, a KRI sygnalizują ekspozycję na ryzyko. W raporcie zarządczym warto ograniczyć się do wskaźników, które mają właściciela, wiarygodne źródło danych, próg alarmowy i związek z usługą biznesową. Dziesięć dobrze dobranych miar jest bardziej użyteczne niż kilkadziesiąt liczb bez kontekstu.
| Obszar | Przykładowy wskaźnik | Co mówi zarządowi | Kiedy wymaga reakcji |
|---|---|---|---|
| Ryzyko | Liczba ryzyk krytycznych i wysokich oraz ich trend | Czy ekspozycja rośnie i czy plan postępowania działa | Wzrost, brak właściciela albo przekroczenie terminu |
| Działania | Odsetek działań opóźnionych, w tym krytycznych | Czy organizacja wykonuje decyzje i usuwa luki | Opóźnienie zwiększa ryzyko lub dotyczy wymogu prawnego |
| Podatności | Krytyczne podatności poza przyjętym SLA | Czy najważniejsze luki są usuwane w oczekiwanym czasie | Podatność jest wykorzystywana lub dotyczy usługi krytycznej |
| Ciągłość | Skuteczność testów backupu oraz osiągnięte RTO/RPO | Czy firma potrafi przywrócić usługę i dane | Test nieudany albo wynik gorszy niż zaakceptowany cel |
| Incydenty | Czas wykrycia, reakcji, odtworzenia i zgłoszenia | Czy reakcja jest wystarczająco szybka i zgodna z terminami | Przekroczenie procedury lub powtarzalna przyczyna |
| Dostęp | Pokrycie MFA i przeglądem kont uprzywilejowanych | Czy dostęp do krytycznych zasobów jest kontrolowany | Konta bez MFA, właściciela lub aktualnego uzasadnienia |
| Dostawcy | Odsetek krytycznych dostawców po aktualnej ocenie | Czy ryzyko łańcucha dostaw jest znane i nadzorowane | Brak oceny, klauzul albo planu wyjścia dla dostawcy krytycznego |
| Audyty | Terminowość zamykania niezgodności i skuteczność korekt | Czy ustalenia prowadzą do trwałej poprawy | Niezgodność wraca lub działanie nie zmniejszyło ryzyka |
Liczba zablokowanych ataków, wysłanych wiadomości edukacyjnych czy osób obecnych na szkoleniu bywa łatwa do policzenia, lecz nie zawsze pokazuje skuteczność. Zarząd potrzebuje informacji o rezultacie: czy ryzyko spadło, czy użytkownicy rozpoznają próbę phishingu, czy incydent został wykryty szybciej i czy usługa może zostać odtworzona w wymaganym czasie.
Każdy wskaźnik powinien pokazywać wartość bieżącą, wartość poprzednią, cel lub tolerancję, trend i komentarz. Kolory RAG mogą ułatwić orientację, ale nie mogą zastępować kryteriów. Status zielony oznacza wynik mieszczący się w zaakceptowanej tolerancji, a nie brak jakiegokolwiek ryzyka.
Przykład prezentacji postępu
Co raportować natychmiast, a co okresowo?
Jednym z najczęstszych błędów jest traktowanie cyklu rocznego jako jedynego kanału komunikacji z kierownictwem. Należy z góry ustalić kryteria eskalacji i rozdzielić informacje, które mogą poczekać do przeglądu, od tych, które wymagają decyzji przed zakończeniem dnia lub w określonym terminie ustawowym.
Trend i dojrzałość
- postęp planu szkoleń,
- wyniki regularnych przeglądów,
- trend wskaźników w tolerancji,
- aktualizacja dokumentacji.
Zasoby i ryzyko
- akceptacja ryzyka rezydualnego,
- budżet na zabezpieczenia,
- zmiana właściciela działania,
- odstępstwo od polityki.
Zagrożenie lub termin
- poważny incydent,
- krytyczna podatność,
- niedziałający backup,
- ryzyko braku zgłoszenia,
- awaria dostawcy krytycznego.
Procedura raportowania powinna określać progi, adresatów, bezpieczny kanał i zastępstwa. Dobrze zaprojektowany system nie zależy od jednej osoby i działa również podczas urlopu, awarii poczty czy nieobecności członka zarządu. Roczne podsumowanie powinno z kolei ocenić, czy eskalacje z minionego okresu były terminowe i skuteczne.
Jak dokumentować decyzje zarządu?
Raport, protokół posiedzenia i rejestr decyzji pełnią różne funkcje. Raport opisuje stan systemu i przedstawia rekomendacje. Protokół potwierdza przebieg przeglądu, uczestników, pytania oraz ustalenia. Rejestr decyzji pozwala śledzić wykonanie uchwał, akceptacji ryzyka i zadań. W praktyce te trzy elementy mogą być powiązane, ale nie powinny być utożsamiane.
| Element decyzji | Co zapisać | Przykład | Dowód wykonania |
|---|---|---|---|
| Przedmiot | Ryzyko, projekt, odstępstwo lub zasób, którego dotyczy decyzja | Modernizacja środowiska kopii zapasowych | Numer pozycji w raporcie i rejestrze ryzyka |
| Rozstrzygnięcie | Akceptacja, odrzucenie, zmiana zakresu albo dodatkowe warunki | Zatwierdzenie wariantu drugiego | Uchwała lub zatwierdzony protokół |
| Uzasadnienie | Wpływ, koszt, alternatywy i przyjęte założenia | Wymagane RTO nie jest obecnie osiągane | Analiza ryzyka i wynik testu |
| Odpowiedzialność | Jedna osoba odpowiedzialna za rezultat | Dyrektor IT | Potwierdzenie przyjęcia zadania |
| Termin i miernik | Data oraz kryterium uznania działania za zakończone | 30 czerwca, test RTO poniżej 4 godzin | Protokół testu i akceptacja właściciela usługi |
| Dalszy nadzór | Termin raportu statusowego lub ponownej oceny | Status miesięczny, przegląd ryzyka po wdrożeniu | Aktualizacja rejestru decyzji |
Akceptacja ryzyka powinna być świadoma i mieścić się w określonych kompetencjach. Nie wystarczy oznaczyć ryzyka jako „zaakceptowane” bez informacji o możliwych skutkach, zastosowanych środkach, okresie obowiązywania i dacie ponownego przeglądu. Zarząd powinien też wiedzieć, czy decyzja może wpływać na obowiązki ustawowe, umowne albo prawa klientów.
Wzór rocznego raportu SZBI dla zarządu
Dokument może mieć od kilkunastu do kilkudziesięciu stron, zależnie od wielkości i złożoności organizacji. Część główna powinna być krótka i zarządcza, a dane techniczne, zestawienia i dowody mogą znaleźć się w załącznikach. Poniższy układ pozwala utrzymać ciągłość między oceną, decyzją i wykonaniem.
Zbierz i potwierdź dane
Ustal okres, zakres, źródła, właścicieli i datę graniczną. Zweryfikuj liczby z osobami odpowiedzialnymi.
Oceń zmianę i trend
Porównaj wynik z celem, poprzednim okresem, tolerancją ryzyka i decyzjami zarządu.
Przygotuj rekomendacje
Dla każdej istotnej luki opisz warianty, koszt, ryzyko, właściciela i proponowany termin.
Zamknij przegląd decyzjami
Utwórz protokół, rejestr decyzji i harmonogram monitorowania ich realizacji.
| Rozdział | Zawartość | Oczekiwany rezultat |
|---|---|---|
| 1. Dane dokumentu | Okres, zakres, autorzy, odbiorcy, klasyfikacja informacji, wersja | Jednoznaczna identyfikacja i kontrola dostępu |
| 2. Podsumowanie | Profil ryzyka, kluczowe zmiany, status RAG i lista decyzji | Obraz sytuacji możliwy do odczytania w kilka minut |
| 3. Kontekst | Zmiany usług, technologii, dostawców, prawa i organizacji | Wyjaśnienie, dlaczego ryzyko i priorytety się zmieniły |
| 4. Wyniki systemu | Ryzyka, incydenty, podatności, ciągłość, dostawcy, dostęp, szkolenia | Ocena skuteczności, nie tylko wykonanych czynności |
| 5. Audyty i zgodność | Ustalenia, niezgodności, kontrole, status działań korygujących | Potwierdzenie zamykania luk i spełniania obowiązków |
| 6. Zasoby | Budżet, ludzie, kompetencje, narzędzia i usługi zewnętrzne | Decyzja, czy zasoby odpowiadają ryzyku |
| 7. Plan poprawy | Priorytety, projekty, właściciele, terminy i mierniki | Kontrolowany plan na kolejny okres |
| 8. Decyzje | Akceptacje ryzyka, budżetu, polityk, odstępstw i zmian | Udokumentowany nadzór kierownictwa |
| Załączniki | Rejestry, wyniki testów, raporty audytowe, wykresy i dowody | Możliwość weryfikacji bez przeładowania części głównej |
Checklista jakości raportu
Zaznacz elementy, które obejmuje przygotowywany dokument. Wynik nie zastępuje audytu, ale szybko pokazuje, czy raport prowadzi zarząd od danych do decyzji.
Gotowość raportu
Sprawdź zawartość i sposób zamknięcia przeglądu.
Najczęstsze błędy w raportowaniu SZBI
Pierwszym błędem jest przygotowanie raportu wyłącznie przez IT. Cyberbezpieczeństwo zależy również od umów, dostawców, personelu, ciągłości, finansów i decyzji biznesowych. Drugi błąd to przedstawianie samych aktywności: liczby szkoleń, alertów i zakupionych narzędzi. Raport powinien pokazywać, jaki rezultat przyniosły te działania.
Trzeci problem to ukrywanie informacji krytycznej w obszernym dokumencie. Ryzyko wymagające decyzji powinno znaleźć się w podsumowaniu, a nie dopiero w załączniku. Czwarty to brak rozliczenia wcześniejszych decyzji. Jeżeli zarząd przyznał budżet albo zaakceptował plan, kolejny raport musi pokazać wykonanie i wpływ na ryzyko.
Wreszcie raport nie powinien tworzyć fałszywego poczucia zgodności. Zielony status nie oznacza bezpieczeństwa absolutnego. Powinien oznaczać, że wynik znajduje się w zatwierdzonej tolerancji, dowody są aktualne, a ryzyko pozostaje pod kontrolą. Więcej o wymaganych zapisach i dowodach wyjaśnia poradnik dokumentacja SZBI – polityki, procedury i rejestry.
Najczęściej zadawane pytania
Czy roczny raport SZBI dla zarządu jest wymagany przez UoKSC?
UoKSC nie ustanawia jednego uniwersalnego dokumentu pod taką nazwą. Nakłada jednak na kierownictwo obowiązek podejmowania decyzji, nadzoru, zapewnienia zasobów i wykonywania obowiązków cyberbezpieczeństwa. Raport jest praktycznym sposobem dostarczenia informacji potrzebnych do realizacji tych zadań i udokumentowania przeglądu.
Czy raport SZBI musi powstawać dokładnie raz w roku?
Pełne podsumowanie można przygotowywać co najmniej raz w roku, ale częstotliwość powinna odpowiadać ryzyku. Istotne zmiany i zdarzenia wymagają dodatkowego przeglądu, a informacje krytyczne powinny być eskalowane natychmiast.
Kto powinien podpisać raport?
Autor lub właściciel SZBI powinien potwierdzić przygotowanie dokumentu, natomiast zarząd powinien udokumentować jego rozpatrzenie oraz podjęte decyzje. Sposób podpisania zależy od zasad reprezentacji, obiegu dokumentów i przyjętej procedury przeglądu.
Czy raport może przygotować zewnętrzny pełnomocnik?
Tak. Zewnętrzny pełnomocnik może zebrać dane, przeprowadzić ocenę i przygotować rekomendacje, jeżeli ma odpowiednie umocowanie i dostęp do informacji. Zarząd nie może jednak przenieść na wykonawcę własnej odpowiedzialności za decyzje i nadzór.
Jak długi powinien być raport?
Nie ma jednej wymaganej długości. Część główna powinna być na tyle krótka, aby zarząd mógł sprawnie ocenić sytuację i podjąć decyzje. Szczegółowe rejestry, wyniki testów, raporty techniczne i dowody najlepiej umieścić w kontrolowanych załącznikach.
Czy raport z audytu wystarczy zamiast raportu rocznego?
Zwykle nie. Audyt ocenia określony zakres według ustalonych kryteriów, a raport zarządczy powinien również obejmować ryzyko, incydenty, realizację decyzji, zasoby, dostawców i plan poprawy. Wynik audytu jest jednym ze źródeł raportu.
Jak chronić informacje zawarte w raporcie?
Raport może zawierać informacje o podatnościach, architekturze, incydentach i dostawcach. Powinien mieć klasyfikację, ograniczony dostęp, kontrolę wersji, bezpieczny kanał dystrybucji oraz ustalony okres przechowywania. Załączniki techniczne można udostępniać węższej grupie odbiorców.
Co powinno powstać po posiedzeniu zarządu?
Co najmniej zatwierdzony protokół lub uchwała, rejestr decyzji, przydział właścicieli i terminów oraz sposób monitorowania wykonania. Jeżeli zaakceptowano ryzyko rezydualne, należy wskazać jego zakres, uzasadnienie i datę ponownego przeglądu.
Podsumowanie
Roczny raport SZBI dla zarządu ma przekształcać dane o bezpieczeństwie w decyzje biznesowe. Powinien pokazywać poziom ryzyka, skuteczność zabezpieczeń, incydenty, wyniki audytów i testów, zależności od dostawców, zasoby oraz stan działań. Jego wartość nie wynika z liczby stron, lecz z możliwości porównania trendu, ustalenia priorytetów i rozliczenia odpowiedzialności.
Dobrze przeprowadzony przegląd kończy się decyzjami, terminami i miernikami. Raport nie zastępuje bieżącego monitoringu ani natychmiastowej eskalacji. Jest natomiast ważnym dowodem, że kierownictwo otrzymuje wiarygodne informacje, świadomie zarządza ryzykiem i systematycznie doskonali System Zarządzania Bezpieczeństwem Informacji.
Przygotuj raport, który prowadzi do decyzji
Umów bezpłatną konsultację z adwokatem i audytorem. Zweryfikujemy zakres raportu, jakość dowodów oraz decyzje, które zarząd powinien udokumentować.